CVE-2022-41678

요약

사용자가 Jolokia에 인증되면 잠재적으로 임의 코드 실행을 유발할 수 있습니다. 자세히 설명하면, ActiveMQ 구성에서 jetty는 org.jolokia.http.AgentServlet이 /api/jolokia에 대한 요청을 처리하도록 허용하며, org.jolokia.http.HttpRequestHandler#handlePostRequest는 JSONObject를 통해 JmxRequest를 생성할 수 있습니다. 그리고 org.jolokia.http.HttpRequestHandler#executeRequest가 호출됩니다. 더 깊은 호출 스택에서는 org.jolokia.handler.ExecHandler#doHandleRequest가 리플렉션을 통해 호출될 수 있습니다. 이는 다양한 mbean을 통한 RCE로 이어질 수 있습니다. 한 가지 예는 Java 11 이상에 존재하는 jdk.management.jfr.FlightRecorderMXBeanImpl의 제한 없는 역직렬화입니다. 1 newRecording을 호출합니다. 2 setConfiguration을 호출합니다. 그리고 웹셸 데이터가 그 안에 숨겨집니다. 3 startRecording을 호출합니다. 4 copyTo 메서드를 호출합니다. 웹셸은 .jsp 파일로 작성됩니다. 완화 방법은 Jolokia에서 허용되는 작업을 (기본적으로) 제한하거나 Jolokia를 비활성화하는 것입니다. 더 제한적인 Jolokia 구성이 기본 ActiveMQ 배포판에 정의되어 있습니다. 업데이트된 Jolokia 구성을 포함하는 ActiveMQ 배포 버전(5.16.6, 5.17.4, 5.18.0, 6.0.0)으로 업그레이드할 것을 권장합니다.

• CVE-2022-41678PoC

  CVE-2022-41678: Apache ActiveMQ의 Jolokia API를 통해 접근 가능한 위험한 MBeans

• CVE-2022-41678익스플로잇

  CVE-2022-41678는 Apache ActiveMQ의 원격 코드 실행 취약점입니다. 이 취약점을 통해 공격자는 JMX(Java Management Extensions) 인터페이스를 통해 Log4j 설정 또는 JFR(Java Flight Recorder) 설정을 수정하여 악성 JSP 웹쉘을 서버의 웹 디렉터리에 작성함으로써 최종적으로 원격 코드 실행을 달성할 수 있습니다.